Tuesday, 24 December 2013

Telegram secret chat geolocation leak.


UPD: I've just received  confirmation from Telegram, that a patched version was released a few  hours ago.  Here is the patch on github.

A few days ago Mr. Durov announced bug bounty for Telegram protocol decryption. Futher it will be shown how private data from a secret chat can be captured without any decryption methods due to a design failure.

Test environment:
- Android 4.3 launched in Virtual Box,
- Wireshark launched on host machine,
- HTC One with Android 4.0.3,
- Telegram 1.3.800 (in virtual box)

Method:
Let's install Telegram and create users Alice and Bob. After that, we are creating acconts in Telegram and adding each device to other's contact list.



Now we are starting a secret chat:



Sending a test message:


As we can see in wireshark - all data goes through SSL, and looks encrypted.

But what if we'll try to send attachment, for example a geolocation? Geolocations of secret chat members could be quit interesting in some cases :)? Let's tap 'send' button...







Bum!! We've got a clear-text TCP session!  Let's take a look a bit closer..





Telegarm uses a default unencrypted google-maps API to resolve map snippet. From a security and anonimity point of view this is THE fail. It means that a person who controls the channel can capture all "geo-attachments" going through a secret chat in both ways (incoming and outgoing) using just a passive sniffer.

In practice,  if  Mr. Snowden will send his geo-location using Telegram to someone, who is under NSA wiretapping, a tomahawk will be enough to make Gen. Alexander satisfied.

45 comments:

  1. Thank you for pointing that out! One of the Telegram apps for Android did use Google Maps in http-mode. The source code is fixed by now by the app developer, and the update is on its way to Play Market.

    Thank you for enabling us to make the Android app more secure.

    Please write us a couple of lines to security@telegram.org, we would like to reward the person who found the bug.

    Merry XMas,
    Telegram Team

    ReplyDelete
  2. This comment has been removed by a blog administrator.

    ReplyDelete
  3. Nice job)))
    Waiting for a response Durov?

    ReplyDelete
  4. After installing telegram App a total stranger appeared on my connection.

    ReplyDelete
  5. i have cracked telegram iOS encrypted messages. Where could i publish the code for it?

    ReplyDelete
  6. can you contact me on captain@rainn.co

    ReplyDelete
  7. Technology is developing by leaps and bounds. The Climate is changing with its own dynamic approach. Today cellular phones especially there functions and Android Apps In Pakistan Has Provided a great charm to technology and all.

    ReplyDelete
  8. This is really awesome. Full of knowledge and latest information about web design.service web design

    ReplyDelete
  9. Great! Thanks for sharing the information. That is very helpful for increasing my knowledge in this fiel
    Red Ball | | duck life | Slitherio
    Red Ball 2 | Red Ball 3 | Red Ball 4

    ReplyDelete
  10. Thanks for sharing with us telegram secrets, its android App is not so good and nor it is up to date, but I don't know about the recent progress of app, whether they fix the problems or not.

    Dental Websites Optimized360 dental websites to flourish your dental practice.

    ReplyDelete
  11. Thanks for the best blog.it was very useful for me.keep sharing such ideas in the future as well.this was actually what i was looking for,and i am glad to came here!
    five nights at freddy's 3 | five nights at freddy's 2 | fireboy and watergirl 3 | 2048 game online | duck life 3 | fireboy and watergirl 6

    ReplyDelete
  12. Very helpful advice in this particular post! It’s the little changes that make the largest changes. Thanks for sharing!
    minecraft 2 | baixar facebook | baixar whatsapp | facebook baixar | baixar photo grid

    ReplyDelete
  13. I really think that you could find a lot of useful info in this spyera review blog

    ReplyDelete
  14. Did you know that it's so easy to be a spy today with that simple hoverwatch app? Check it out!

    ReplyDelete
  15. Recently I've found out how to spy on someones iphone so I want to share my knowledge with you

    ReplyDelete
  16. Thanks for this post Queader! Now I've got to get on and implement more thank you.

    gclub online
    goldenslot
    สูตรบาคาร่า

    ReplyDelete
  17. always care about our members, whether they are old or new. We are open 24 hours a day.


    คาสิโน

    ReplyDelete
  18. play properly. First, you need to understand the rules of the game. It is very useful for playing money games. When we understand what to do, it would be convenient. Watch out for players who have played before, such as in the web has a

    บาคาร่า

    ReplyDelete
  19. Thank you for sharing valuable information.(Good Man)

    SCR888

    ReplyDelete
  20. a pride for me to be able to discuss on a quality website because I just learned to make an article on
    cara menggugurkan kandungan

    ReplyDelete
  21. This comment has been removed by the author.

    ReplyDelete
  22. I try to follow you every step and then tight. It's not even tight. I do not know what to do. I would like to follow tight. สถาบันครอบครัว

    ReplyDelete
  23. www.918kissfun.com/

    ▶#918kiss
    ▶#joker123
    🌟#ACE333
    🌟#scr888
    🌟#slotciti
    🌟#Slot777 (king99)

    สมัครเลย LINE ID : @slot888fun( มี@ ด้วยนะค่ะ)
    ➡ลิ้งค์สมัคร

    https://goo.gl/SbiRuy/

    ReplyDelete
  24. สำหรับคนที่ชื่นชอบการเล่นคาสิโนแล้ว มาถึงวันนี้คงยินดีกันไม่ใช่น้อยใช่ไหม๊ครับ ที่ไม่ต้องเดินทางไกลไปเล่นคาสิโนกันถึงต่างประเทศอย่างที่เคยเป็นมาอีกแล้ว ไม่ต้องเสียเวลา เสียค่าใช้จ่ายในการเดินทาง เสียเงินค่าที่พักกันอีกต่อไป

    ปัจจุบันเทคโนโลยีสื่อสารที่ทันสมัยได้ยกคาสิโนทั้งคาสิโนมาไว้ตรงหน้าคุณ ให้คุณสามารถเล่นคาสิโนออนไลน์ได้ ผ่านหน้าเว็บไซต์ผู้ให้บริการคาสิโนออนไลน์ คุณสามารถเล่นได้ทุกที่ ทุกเวลา ที่คุณต้องการ ไม่พลาดโอกาสที่จะทำเงินจากคาสิโนได้ตลอดวันตลอดคืน เทคโนโลยีสื่อสารที่ทันสมัยนอกจากจะไม่เพียงช่วยทำให้คุณสามารถเล่นคาสิโนออนไลน์ผ่านเว็บไซต์ผู้ให้บริการได้แล้วเท่านั้น ยังช่วยทำให้สามารถเล่น คาสิโนออนไลน์มือถือ ได้อีกด้วย ยิ่งเพิ่มความสะดวกมากยิ่งขึ้นให้แก่ผู้ที่ชื่นชอบการเล่นไม่ต้องพกพาอุปกรณ์สื่อสารอื่นๆ ไปด้วยให้เกะกะ เพียงแค่มือถือของคุณที่พกติดตัวเป็นประจำอันเดียว ก็ช่วยให้คุณสามารถเล่นคาสิโนออนไลน์มือถือได้แล้ว สมัครคาสิโนออนไลน์ มือถือสามารถร่วมเล่นและร่วมสนุกได้เพียงง่ายๆ เพียงแค่คุณดาวน์โหลดแอพริเคชั่น ผู้บริการคาสิโนออนไลน์ มาไว้บนมือถือ ก็จะทำให้คุณสามารถเล่นคาสิโนออนไลน์มือถือผ่านแอพริเคชั่นได้แล้ว ฟังชั่นการทำงานของแอพริเคชั่น คาสิโนออนไลน์มือถือ ใช้งานง่ายไม่ซับซ้อน ให้บริการครบวงจร ที่คุณสามารถใช้ทั้งการฝากเงิน ถอนเงินและเลือกวางเดิมพันกับเกมส์หรือคาสิโนสด ที่มีให้บริการผ่านแอพริเคชั่น ให้ความถูกต้องเที่ยงตรง ให้ความตื่นเต้นเร้าใจ ที่คุณสามารถลุ้นไปเช่นเดียวกับการเล่นคาสิโนออนไลน์ผ่านเว็บไซต์

    ซึ่งคุณสามารถเลือกเล่นได้แบบครบวงจร ทั้งการเล่นคาสิโนออนไลน์ผ่านเว็บไซต์ และเล่นการเล่นคาสิโนออนไลน์มือถือ เพียงแค่คุณเปิดบัญชีเครดิตไว้กับเราเพียงบัญชีเดียวคุณก็สามารถใช้บัญชีที่เปิดไว้ เลือกเล่นได้ทั้งคาสิโนออนไลน์ผ่านเว็บไซต์และคาสิโนออนไลน์มือถือ สะดวก ตื่นเต้น เร้าใจ ไม่ว่าคุณจะเล่นผ่านเว็บไซต์หรือผ่านแอพริเคชั่นบนมือถือ หากคุณเป็นคนหนึ่ง ที่อยากมีชีวิตที่อิสระ และควบคุมตนเองได้ เข้าใจในกฎกติกา เข้าใจในความเสี่ยง และรักการเสี่ยง ซึ่งถ้าเราควบคุมเกมได้ จะทำให้คุณมีอิสระทางการเงิน และความฝัน ตามที่คุณอยากจะได้ อยากจะมี อยากจะเป็น แต่ต้องตั้งมั่นอยู่ในสติ และการใคร่ครวญตัดสินใจที่จะเสี่ยงโชค ในกำลังที่พอเพียง ตั้งกำหนดงบประมาณในการเล่นอย่างมีระเบียบ ระบบ และบริหารจัดการได้อย่างมืออาชีพ แล้วหละก็ นี่แหละ คืออีกรูปแบบของการลงทุนเสี่ยงโชค

    คาสิโนออนไลน์มือถือ

    ReplyDelete
  25. Fashion magazines are more than just fashion. Here is the list of top Fashion Magazines that every fashion-forward woman in India. Thanks you for very nice sharing
    Lifestyle Magazine

    ReplyDelete
  26. We provide international shipping company in delhi ... Logistic Company In Delhi, Sea Freight, Thanks you for sharing
    shipping company in delhi

    ReplyDelete
  27. Sonison packaging Offer High Quality & Best Strength Super Clear Packing Tape at Affordable Prices, Super Clear Tape Manufacturer Supplier Delhi. Thanks you for very nice its sharing
    Colored Packing Tape Manufacturer in Delhi

    ReplyDelete
  28. Get Details of Flooring Tiles Manufacturers And Dealers. ... Heat Resistance Tiles, Heat Resistant Terrace Tiles. Thanks you for sharing
    cement bonder manufacturer in delhi

    ReplyDelete
  29. Ah,so beautiful and wonderful post!An opportunity to read a fantastic and imaginary blogs.It gives me lots of pleasure and interest.Thanks for sharing.
    Find the Interior Designers in Vijayawada

    ReplyDelete